如何保护 CI 中传递给控制器​​的段的安全

Question

我正在尝试将一个段传递给控制器​​。 url 类似于 base_url/controller/function/seg1。我想确保，如果用户尝试在地址栏中输入该段，控制器将确保除了我想要传递的段之外没有其他单词可以继续。

例如，如果用户尝试在地址栏中输入base_url/main/function/（将其更改为其他单词），控制器将过滤该段。我不知道该怎么做，如果有人能帮助我，我将不胜感激。

Answer 1

好的，因此“保护”此类事件的最佳方法是在用户登录您的站点时简单地创建一个会话，并在该会话中存储两个值；

1) 他们的数据库主键 ID，以及
2) 一个名为“logged_in”的会话项

当您的用户登录您的网站时，您将像这样存储这两个值；

$this->session->set_userdata('logged_in', true);
$this->session->set_userdata('user_id', $id);

其中 $id 在身份验证期间从用户记录中提取。

现在您已经有了这些内容，下一部分就是在您的控制器中放置一个 if 语句来检查用户是否已登录；

function show($id) {
  if($this->session->userdata('logged_in')) {
    $posts = $this->Model_posts->get_user_posts($id);
  }
}

现在，在您的模型中，您将创建一个函数来提取您希望用户能够根据其 user_id 查看的记录。例如，我们会说用户帖子。

function get_user_posts($user_id, $post_id) {
   $sql = "SELECT * FROM posts WHERE user_id = ? AND id = ?";
   $binds = array($user_id, $post_id);
   $qry = $this->db->query($sql, $binds);
   $result = array();

   while($row = $qry->result_array()) {
     array_push($result, $row);
   }
   return $result;
}

现在，当登录的用户或访问者尝试访问不属于他们的记录时，他们将不会检索任何记录，因为 select 语句限制仅返回给该用户的内容。

Answer 2

你的结构是这样的

base_url/controller/action

，所以，你的控制器已经“过滤”掉了它，因为如果你的控制器中没有方法/函数（方法=操作），那么你的控制器将触发 404 Page Not Found 错误。当然，您可以按照您认为合适的方式处理错误，但从您提供的内容来看，您希望过滤的项目称为控制器操作。

举例来说；

http://www.base_url.com/users/add

表示您希望调用用户控制器中的 add（函数）。

如果您想向添加操作传递一个参数，那么您可以这样做：

http://www.base_url.com/users/show/1

其中 show 是一个控制器操作，1 是您希望显示的用户的 ID。
我知道我似乎正在对 MVC 方法进行基本介绍，但正如我所说，您展示的结构就像我所描述的那样。

希望这有帮助。